Najlepší dodávatelia ERM zahŕňajú RSA, MetricStream a ServiceNow. Každý z nich ponúka softvér na sledovanie rizík vo veľkom podniku. Hlavným rozdielom je spôsob, akým každý produkt spája prácu s rizikami s kontrolami, auditmi, súladom so predpismi, bezpečnosťou a každodennými operáciami.
Prvým bodom, ktorý treba vyjasniť, je slovo „najlepší“. Neznamená to, že jeden dodávateľ vyhovuje každej spoločnosti. Softvér pre riadenie podnikových rizík (ERM) funguje najlepšie, keď jeho dáta zodpovedajú spôsobu, akým je podnik vedený. Silný produkt s nesprávnym prístupom môže stále vytvárať ďalšiu prácu.
Tri hlavné možnosti výberu dodávateľa
RSA Archer je dlhodobo uznávaným menom v softvéri pre správu, riziká a súlad so predpismi (GRC). Jeho nástroje sú známe štruktúrovanými procesmi rizík a kontrol. Podporujú činnosti, ako sú posudzovanie rizík, práca s politikami, úlohy auditu a sledovanie problémov.
MetricStream sa zameriava na podnikové a prevádzkové riziká. Jeho platforma pomáha tímom identifikovať, posudzovať, monitorovať a reagovať na riziká naprieč jednotlivými obchodnými jednotkami. Pokrýva tiež príbuzné oblasti, ako sú súlad so predpismi, audit, kybernetické riziká a odolnosť.
ServiceNow ponúka Integrované riadenie rizík (IRM), často označované ako IRM. Jeho prístup spája prácu s rizikami a súladom so predpismi s IT, kybernetickou bezpečnosťou a obchodnými operáciami. Platforma dokáže prepojiť riziká s kontrolami, službami, úlohami a prácami na nápravu.
Tieto tri mená sa objavujú často, pretože adresujú širokú potrebu podniku. Nie sú to jednoduché tabuľky s niekoľkými ďalšími obrazovkami. Sú to systémy na správu zdieľaných záznamov, krokov revízie, schválení, dôkazov, upozornení a správ.
Záznam o riziku môže opisovať problém s dodávateľom, slabinu v bezpečnosti, zlyhanie kontroly alebo zmenu zákona. Systém môže následne prepojiť tento záznam s vlastníkom, obchodným procesom, kontrolou a plánovanou akciou. Táto zdieľaná štruktúra pomáha tímom pracovať na základe rovnakých faktov.
Táto štruktúra je dôležitá pre senior management. Správa o rizikách je užitočná len vtedy, keď jej detaily možno vystopovať k reálnej práci. Vedúci pracovníci môžu potrebovať vedieť, ktorá obchodná jednotka je vlastníkom rizika, ktorá kontrola ho rieši, kedy bolo naposledy preskúmané a aká akcia je ešte otvorená.
MetricStream kládie silný dôraz na programy rizík a bežné metódy. Jeho produkty podporujú posudzovanie rizík, profily rizík, knižnice rizík a monitorovanie naprieč viacerými typmi rizík. Toto môže vyhovovať organizáciám, ktoré potrebujú centrálny model rizík naprieč mnohými funkciami.
ServiceNow kládol silný dôraz na prepojené pracovné postupy. Nástroje IRM prepojujú prácu s rizikami a súladom so širšou platformou ServiceNow. V podniku, ktorý už túto platformu používa pre IT a servisné procesy, môže toto prepojenie skrátiť vzdialenosť medzi nájdením problému a prideľovaním práce.
RSA Archer sa často vníma cez prizmu formálnych programov GRC. Jeho hodnota spočíva v štruktúrovaných záznamoch a opakovateľných procesoch pre riziká, súlad, audit a kontroly. Tento model môže podporiť podniky s vyspelými potrebami governance a mnohými požiadavkami na revíziu.
Napriek tomu štítky produktov môžu skrývať veľké rozdiely. „ERM“ sa môže vzťahovať na strategické riziká, prevádzkové riziká, finančné riziká, riziká tretích strán, kybernetické riziká alebo na všetky tieto kategórie naraz. Dodávatelia môžu tieto funkcie zoskupovať rôznymi spôsobmi. Nákupca, ktorý porovnáva iba názvy produktov, môže prehliadnuť skutočný dizajn.
Skutočnou skúškou je model rizík
Najužitočnejšia otázka nie je to, ktorý dodávateľ má najdlhší zoznam funkcií. Otázka znie, ako softvér reprezentuje riziká vnútri podniku.
Model rizík stanovuje základné pravidlá. Menuje obchodné jednotky, procesy, aktíva, kontroly, vlastníkov, hodnotenia a dátumy revízií. Stanovuje tiež to, ako sa riziká pohybujú od identifikácie cez posúdenie, liečbu, monitorovanie až po reportovanie.
Napríklad kybernetické riziko môže ovplyzniť kľúčovú službu. Táto služba môže závisieť od procesu, systému a poskytovateľa tretej strany. Užitočný systém ERM môže ukázať tieto prepojenia. Môže tiež ukázať kontrolu, ktorá rieši riziko, a vlastníka akcie, keď kontrola zlyhá.
Tu je dôležitá architektúra podniku. Softvér ERM sa musí prepojiť s systémami identity, nástrojmi služieb, záznammi auditu, bezpečnostnými nástrojmi a zdrojmi dát. Potrebuje aj jasné pravidlá pre vlastníctvo dát. Bez týchto pravidiel môžu tímy vytvárať duplicitné záznamy alebo sa nezhodnúť na tom, ktorá hodnota je správna.
Na dizajne pracovného postupu tiež záleží. Systém môže podporovať automatické pripomienky a kroky schválenia. Automatizácia však neopraví nejasné vlastníctvo. Ak žiadny tím nevlastní riziko, rýchlejší pracovný postup len rýchlejšie presunie problém.
Rovnaký problém platí pre umelú inteligenciu. Dodávatelia teraz opisujú funkcie AI pre zhrnutia, vhľady do rizík, revízie kontrol a odporúčania. Takéto funkcie môžu skrátiť čas čítania alebo pomôcť používateľom zoradiť veľké množstvo záznamov. Neodstraňujú však potrebu kvalitných dát, ľudského preskúmania a jasných pravidiel schválenia.
Toto je limit, ktorý stojí za to uviesť jasne: tvrdenia dodávateľov neprokazujú výsledok pre každú organizáciu. Platforma môže ponúkať silné funkcie, no hodnota závisí od kvality dát, prepojení systémov, dizajnu procesov, adopcie používateľmi a governance. Verejné informácie o produkte nemôžu ukázať, ako dobre bude dané nastavenie fungovať v konkrétnom podniku.
Praktický spôsob ich porovnania
Porovnanie sa stáva jasnejším, keď hodnotenie nasleduje reálnu prácu.
Po prvé, podnik potrebuje zdieľaný pohľad na riziká. Zahŕňa to typy rizík, ktoré sú dôležité, ľudí, ktorí ich vlastnia, a dôkazy potrebné na revíziu.
Po druhé, podnik potrebuje vidieť, ako každá platforma obsluhuje kontroly. Kontrola je overenie alebo akcia, ktorá pomáha znížiť riziko. Systém by mal zobrazovať vlastníka kontroly, stav testu, súvisiace dôkazy a otvorené problémy.
Ďalším bodom je integrácia. ServiceNow môže mať prirodzené zapadanie tam, kde IT a servisné pracovné postupy už bežia na platforme. MetricStream môže vyhovovať tímom hľadajúcim širokú štruktúru rizík a GRC. RSA Archer môže vyhovovať formálnym programom, ktoré potrebujú podrobné záznamy a opakovateľné procesy governance.
Toto sú všeobecné vzory, nie pevné poradie. Edície produktov, integrácie, ceny a stratégia dodávateľov sa v čase menia. Tržné zoznamy tiež používajú rôzne metódy. Niektoré merajú hĺbku produktu. Iné merajú tržnú prítomnosť, názory zákazníkov alebo širšiu platformu dodávateľa.
Ústrednou lekciou je jednoduchá vec. Softvér ERM je systémom záznamov pre riziká, ale je to zároveň systém práce. Jeho kvalita závisí od toho, či sa informácie o rizikách dokážu preniesť do jasných akcií.
Inžiniersky pohľad EuroOp je taký, že najsilnejší podnikový vzor je súvislý model rizík s jasným vlastníctvom. RSA Archer, MetricStream a ServiceNow všetci adresujú túto potrebu rôznymi spôsobmi. Správne porovnanie začína pri risk štruktúre podniku, prepojeniach dát a procese revízie.
To je praktický záver za EuroOp Insights: jeden aplikovaný vzor R&D a jedna užitočná lekcia z pipeline za produktmi EuroOp. V podnikových systémoch majú zdieľané dáta a jasné vlastníctvo často rovnako veľký význam ako značka softvéru.